スキル lark-openapi-explorer
📦
lark-openapi-explorer
v1.0.0 コンテンツリビジョン r1 高リスク ⚙️ 外部コマンド🌐 ネットワークアクセス📁 ファイルシステムへのアクセス
Lark OpenAPI エンドポイントを探索
チームでは、既存のスキルでラップされていない Lark API アクションが必要になることがよくあります。このスキルは公式エンドポイントの詳細を見つけ、lark-cli を通じて呼び出すのを支援します。
対応: Claude Codex Code(CC)
インストール前に停止して確認を求めてください。
計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。
自分のエージェントでインストール
このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。
エージェントリクエスト
Review the Skillstore skill "lark-openapi-explorer" from https://skillstore.io/skills/larksuite-lark-openapi-explorer.md and its manifest at https://skillstore.io/api/skills/larksuite-lark-openapi-explorer/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。
エージェントが読めるリソース
AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「lark-openapi-explorer」を使用しています。 ラップ済みコマンドが存在しない場合に、Lark チャットへユーザーを追加する方法を見つける。
期待される結果:
このスキルはチャットメンバーエンドポイントを特定し、必要な識別子と権限を一覧化し、メンバー追加前に確認を求めます。
「lark-openapi-explorer」を使用しています。 チャットのお知らせを更新する API を英語で説明する。
期待される結果:
このスキルは、エンドポイントの目的、必要な revision 値、お知らせコンテンツの形式、権限、想定されるレスポンス動作を要約します。
「lark-openapi-explorer」を使用しています。 既存のコマンドでメッセージングタスクを処理できるか確認する。
期待される結果:
このスキルはまず利用可能な lark-cli メッセージングコマンドを確認し、直接対応するコマンドがない場合にのみ OpenAPI ドキュメントを使用します。
セキュリティ監査
高リスクv7 • 2026/7/9 バージョン別レポートを開く
Most static backtick detections are Markdown formatting false positives, but several entries describe real lark-cli command workflows. The skill also relies on official Feishu and Lark documentation fetches and contains out-of-package sibling skill references. No prompt-injection attempt was found in SKILL.md.
1
スキャンされたファイル
154
解析済み行数
15
レビュー項目
0
誤検知を無視
確認済みのセキュリティ上の懸念 (1)
高
Authenticated Lark API Mutation Capability
The skill instructs agents to call raw Lark OpenAPI POST, PUT, PATCH, and DELETE operations through lark-cli. Misuse could alter chats, members, announcements, or other tenant resources under the authenticated account.
The file explicitly lists mutating HTTP methods and examples that modify chat members and announcements. Built-in confirmation guidance reduces abuse risk but does not remove the capability.
機能レビュー項目 (15)
これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。
高
Path traversal sequence
> **前置条件:** 先阅读 [`../lark-shared/SKILL.md`](../lark-shared/SKILL.md) 了解认证、身份切换和安全规则。
The skill asks the agent to read ../lark-shared/SKILL.md outside this skill directory. That crosses the package boundary even if the intended target is a sibling Lark skill.
高
Path traversal sequence
- [lark-shared](../lark-shared/SKILL.md) — 认证和全局参数
The Markdown link points to a sibling skill using ../ outside this package. It appears to be a repository reference, but it can still drive out-of-package file reads.
高
Path traversal sequence
- [lark-skill-maker](../lark-skill-maker/SKILL.md) — 如需将挖掘到的 API 固化为新 Skill
The Markdown link points to a sibling skill using ../ outside this package. It appears to be a repository reference, but it can still drive out-of-package file reads.
中
Ruby/shell backtick execution
当用户的需求**无法被现有 skill 或 CLI 已注册 API 覆盖**时,使用本技能从飞书官方 markdown 文档库中逐层挖掘原生 OpenAPI 接口,然后通过 `lark-cli api
The text directs the agent to use lark-cli commands with local authentication. Those commands can reach Lark APIs and may read or change workspace data.
中
Ruby/shell backtick execution
```bash
The block includes a lark-cli command invocation. It is a read-only help check, but it still depends on executing an external binary.
中
Ruby/shell backtick execution
使用 `lark-cli api` 裸调:
The text directs the agent to use lark-cli commands with local authentication. Those commands can reach Lark APIs and may read or change workspace data.
中
Ruby/shell backtick execution
```bash
The text directs the agent to use lark-cli commands with local authentication. Those commands can reach Lark APIs and may read or change workspace data.
中
Ruby/shell backtick execution
5. **调用示例**:给出 `lark-cli api` 的完整命令
The text asks the agent to provide a complete lark-cli api command. This is command generation rather than direct execution, but it supports the authenticated command workflow.
中
Ruby/shell backtick execution
```bash
The example contains a concrete lark-cli api mutation against Lark resources. It can affect tenant data if run with authenticated credentials.
中
Ruby/shell backtick execution
```bash
The example contains a concrete lark-cli api mutation against Lark resources. It can affect tenant data if run with authenticated credentials.
低
Hardcoded URL
| 飞书 (Feishu) | `https://open.feishu.cn/llms.txt` |
The skill instructs fetching external official Feishu or Lark documentation. The domains are expected for the skill, but network access is a real dependency.
低
Hardcoded URL
| Lark | `https://open.larksuite.com/llms.txt` |
The skill instructs fetching external official Feishu or Lark documentation. The domains are expected for the skill, but network access is a real dependency.
低
Hardcoded URL
WebFetch https://open.feishu.cn/llms.txt
The skill instructs fetching external official Feishu or Lark documentation. The domains are expected for the skill, but network access is a real dependency.
低
Hardcoded URL
WebFetch https://open.feishu.cn/llms-docs/zh-CN/llms-<module>.txt
The skill instructs fetching external official Feishu or Lark documentation. The domains are expected for the skill, but network access is a real dependency.
低
Hardcoded URL
WebFetch https://open.feishu.cn/document/server-docs/.../<api>.md
The skill instructs fetching external official Feishu or Lark documentation. The domains are expected for the skill, but network access is a real dependency.
リスク要因
⚙️ 外部コマンド (25)
SKILL.md:12 SKILL.md:14 SKILL.md:20-24 SKILL.md:24-30 SKILL.md:30-31 SKILL.md:31-41 SKILL.md:41-44 SKILL.md:44-52 SKILL.md:52-55 SKILL.md:55-57 SKILL.md:57-58 SKILL.md:58-65 SKILL.md:65-68 SKILL.md:68-74 SKILL.md:74-77 SKILL.md:77-81 SKILL.md:81-83 SKILL.md:83-95 SKILL.md:95-102 SKILL.md:102-105 SKILL.md:105-113 SKILL.md:113-121 SKILL.md:121-133 SKILL.md:133-137 SKILL.md:137-148
🌐 ネットワークアクセス (5)
📁 ファイルシステムへのアクセス (4)
監査者: codex 監査履歴を表示 →
このレポートを共有・引用
バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。
レポートリンクをコピー
https://skillstore.io/skills/larksuite-lark-openapi-explorer/audits/7?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdownバッジ
[](https://skillstore.io/skills/larksuite-lark-openapi-explorer?utm_source=security_passport_badge)HTMLバッジ
<a href="https://skillstore.io/skills/larksuite-lark-openapi-explorer?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/larksuite-lark-openapi-explorer/security.svg" alt="Skillstore security assessment" loading="lazy"></a>埋め込みカード
<iframe src="https://skillstore.io/embed/skills/larksuite-lark-openapi-explorer.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学術引用 (APA · BibTeX · CFF)
APA形式の引用
larksuite. (2026). lark-openapi-explorer security audit report (audit version 7) [Author version 1.0.0]. Skillstore. https://skillstore.io/skills/larksuite-lark-openapi-explorer/audits/7BibTeX形式の引用
@techreport{larksuite-larksuite-lark-openapi-explorer-2026,
author = {larksuite},
title = {lark-openapi-explorer security audit report (audit version 7)},
institution = {Skillstore},
year = {2026},
number = {7},
url = {https://skillstore.io/skills/larksuite-lark-openapi-explorer/audits/7},
note = {Author version 1.0.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "lark-openapi-explorer security audit report (audit version 7)"
version: "1.0.0"
type: report
authors:
- name: "larksuite"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/larksuite-lark-openapi-explorer/audits/7"
identifiers:
- type: other
value: "skillstore:larksuite-lark-openapi-explorer:audit:7"
description: "Skillstore immutable audit report identifier"
Skillstore スコア
このスコアの理由 証拠の信頼度: 高 55
アーキテクチャ
100
保守性
87
コンテンツ
68
コミュニティ
91
仕様準拠
作成できるもの
ラップされていないチャット API を見つける
lark-cli が直接公開していないチャットアクションの公式エンドポイントを特定します。
API 呼び出し計画を準備する
機密性の高い Lark 操作を実行する前に、必要なパラメーター、スコープ、リクエスト制約を収集します。
API ドキュメントを翻訳する
中国語の Feishu OpenAPI ドキュメントを簡潔な英語の実装メモに変換します。
これらのプロンプトを試す
Lark エンドポイントを見つける
このタスクの公式 Lark OpenAPI エンドポイントを見つけてください: [describe task]。まず既存の lark-cli 対応範囲を確認してください。
必要な入力を要約する
公式 Feishu ドキュメントを使用して、[task] のメソッド、パス、必須パラメーター、権限、主要なエラーを一覧化してください。
安全な呼び出しを準備する
[task] の lark-cli api 呼び出しを準備してください。書き込み、更新、削除操作の前には確認を求めてください。
候補 API を比較する
[workflow] に関連する API を Lark OpenAPI ドキュメントで検索してください。候補を比較し、最も安全なエンドポイントを推奨してください。
ベストプラクティス
- 生の OpenAPI エンドポイントを探索する前に、既存の lark-cli help から始めます。
- すべてのパラメーターについて、公式の Feishu または Lark ドキュメントを信頼できる情報源として使用します。
- 変更を伴う呼び出しを実行する前に、対象リソース、スコープ、想定される影響を確認します。
回避
- 記憶に基づいて API パスやリクエストボディを推測しないでください。
- 明示的な確認なしに POST、PUT、PATCH、DELETE 操作を実行しないでください。
- エンドポイント探索のために非公式の API ドキュメントリンクを参照しないでください。
よくある質問
このスキルはどのような問題を解決しますか？
既存のスキルまたは lark-cli コマンドがタスクに対応していない場合に、ネイティブの Lark OpenAPI エンドポイントを見つけるのに役立ちます。
lark-cli は必要ですか？
はい。このスキルは、探索後に lark-cli api を通じてエンドポイントを呼び出すように設計されています。
Lark ワークスペースに変更を加えることはできますか？
はい。ユーザーが書き込み操作を確認し、認証済みアカウントに必要な権限がある場合は可能です。
どのドキュメントソースを使用しますか？
公式の Feishu および Lark OpenAPI ドキュメントのインデックスとエンドポイントページを使用します。
英語ユーザーでも使用できますか？
はい。このスキルは、必要に応じて中国語ドキュメントの詳細を英語に翻訳するようアシスタントに指示します。
公式 API レビューの代わりになりますか？
いいえ。ユーザーは実行前に、権限、対象識別子、操作の影響を引き続き確認する必要があります。